Helse- og omsorgsdepartementet Postboks 8011 Dep 0030 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) 201104748-/RAGS 11/01336-2/EOL 16. mars 2012 Dato Datatilsynets høringsuttalelse - Forskrift om oversikt over helsetilstand og påvirkningsfaktorer - Folkehelseforskriften - Helse- og omsorgsdepartementet Datatilsynet viser til Helse- og omsorgsdepartementets høringsbrev av 21. desember 2011 og vil komme med følgende høringsuttalelse: Generelt om forslaget til forskrift Forskriften adresserer kommuners og fylkeskommuners plikt i henhold til folkehelseloven å ha nødvendig oversikt over helsetilstand og faktorer som kan påvirke helsetilstanden i den respektive kommune/fylkeskommune. Forskriften gjelder også Nasjonalt folkehelseinstitutts oppgave med å gjøre tilgjengelig opplysninger om helsetilstanden i befolkningen. Slik Datatilsynet leser forslaget til forskrift omhandler den hovedsaklig kommunens og statens oppgaver og ansvar i forbindelse med folkehelsearbeid. Oppgaver knyttet til folkehelsearbeid er som regel rettet mot befolkningen som helhet, eller grupper av mennesker, og således ikke direkte knyttett til individuelle rettigheter. Datatilsynet legger derfor til grunn at det sjelden vil være behov for å behandle person- sine identifiserbare opplysninger, og at både kommune og stat i stor grad kan gjennomføre oppgaver etter folkehelseloven og foreliggende forslag til forskrift ved å benytte statistiske eller anonyme data. Forslaget til forskrift innebærer således få personvernmessige konsekvenser. Datatilsynet har enkelte kommentarer knyttet til høringen. 1. Det rettslige grunnlaget for helseovervåking Forskriften er foreslått fastsattt med hjemmel i Lov om folkehelsearbeid (folkehelseloven) 5 tredje ledd, 21 fjerde ledd og 25 tredje ledd og Lov om smittevern (smittevernloven) 7-11. I følge folkehelseloven 5 skal kommunen til enhver tid ha oversikt over helsetilstanden i befolkningen, samt de positive og negative faktorer som kan virke inn på denne. Etter samme lovs 21 har fylkeskommunenn tilsvarende ansvar for å føre oversikt over helsetilstanden i fylket. Folkehelseinstituttets ansvar er å ha nasjonal oversikt i følge lovens 25. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 0034 OSLO Hjemmeside: www.datatilsynet.no
Slik Datatilsynet påpekte i høringen til folkehelseloven fulgte plikten til å gjennomføre helseovervåking også av gjeldende rett før folkehelseloven. Den endringen som folkehelseloven og den foreliggende forskrift representerer er følgelig bestemmelser om hvilket grunnlag oversikten skal baseres på og hvilken form oversikten bør ha. Da folkehelseloven var på høring la Datatilsynet til grunn i sin høringsuttalelse at loven verken forutsatte, eller gav noen særskilt hjemmel for, registrering av personidentifiserende opplysninger. I den grad det er usikkerhet omkring hvorvidt forslag til forskrift rokker ved dette utgangspunktet vil dette kommenteres i det følgende. 2. Kommunens arbeid med oversikt over helseforhold Kommunen skal i følge forskriftens 3 ha nødvendig oversikt over helsetilstand og påvirkningsfaktorer for å ivareta sitt ansvar etter folkehelseloven. Oversikten skal inneholde opplysninger om helsetilstand, levevaner, befolkningssammensetning, oppvekst og levekår (f.eks opplysninger om økonomiske forhold, arbeidsforhold og utdanning, samt fysisk, biologisk, kjemisk og sosialt miljø). Kommunens arbeid med oversikt skal baseres på tre hovedkilder; Opplysninger fra statlige helsemyndigheter og fylkeskommunen (folkehelseloven 5 a) Kunnskap fra kommunal helse- og omsorgstjeneste (folkehelseloven 5 b) Kunnskap om faktorer og utviklingstrekk (folkehelseloven 5 c) 2.1 Opplysninger fra statlige helsemyndigheter og fylkeskommuner I høringen til folkehelseloven ble det av Helse- og omsorgsdepartementet lagt til grunn at opplysningene fra statlige helsemyndigheter og fylkeskommunene, som kommunens helseoversikt skal baseres på, skal være statistiske data. Forskriftens ordlyd gir ingen indikasjoner på at dette utgangspunktet er endret. Datatilsynet legger derfor til grunn at det etter dette alternativet ikke vil behandles opplysninger som kan knyttes til enkeltpersoner. 2.2 Kunnskap fra kommunal helse- og omsorgstjeneste I forarbeidene til folkehelseloven 1 påpeker Helse- og omsorgsdepartementet at erfaring og kunnskap fra skolehelsetjeneste, helsestasjon og helse- og omsorgstjenesten utgjør viktige bidrag til en helhetlig oversikt over utfordringer for folkehelsen. En viss presisering av hva slik erfarings og kunnskapsoverføring skal bestå av finner vi i merknadene til helse- og omsorgsloven 3-3. Har står det at blant annet vil helse- og omsorgstjenesten kunne bidra med kunnskap fra skolehelsetjenesten om utfordringer knyttet til ungdomsmiljøer, helsestasjonen kan identifisere spesielle utfordringer knyttet til etniske minoriteter, legetjenesten kan fange opp bekymringer om nærmiljøet mv. 2 Datatilsynet oppfatter dette som en åpning for at ansatte i kommunal helse- og omsorgstjeneste skal kunne bidra med generelle betraktninger omkring utfordringer på sitt fagområde, samt gi faglige og skjønnsmessige vurderinger av hva som kan være nyttige tiltak. 1 Prop. 90 L (2010-2011) s. 207 2 Prop. 91 L (2010-2011) Merknader til helse- og omsorgsloven 3-3 2
Etter Datatilsynets mening krever slik erfarings- og kunnskapsoverføring ikke at det registreres opplysninger som kan knyttes til enkeltpersoner. Både folkehelseloven og forskriften som nå er på høring har virkeområder og formålsbestemmelser som peker i retning av at dette er regelverk som skal bidra til oversikt på et overordnet plan. Datatilsynet finner støtte for en slik slutning i forarbeidene til folkehelseloven hvor Helse- og omsorgsdepartementet presiserer at man bevisst har brukt begrepet folkehelseutfordring fremfor helseutfordring, og at dette er gjort for å tydeliggjøre at det primære formålet med oversikt og identifisering av lokale utfordringer etter lovens 5 er å danne et grunnlag for det brede folkehelsearbeidet i kommunen. Videre påpekes det at Helse- og omsorgsdepartementet på side 89 i høringsnotatet til folkehelseloven uttalte at 5 a angir hvilke type opplysninger som det vil være aktuelt å forskriftsregulere. I følge 5 a skal det kun behandles statistiske opplysninger. Datatilsynet legger derfor til grunn at det gjennom forskrift heller ikke kan reguleres at oversikten skal inneholde personopplysninger. Med henvisning til folkehelselovens og forskriftens virkeområde og formål, samt tolkning av ordlyden i forskriftens 3, legger Datatilsynet til grunn at det ikke skal registreres opplysninger på personidentifiserbart nivå med hjemmel i forskriftens 3. Verken folkehelseloven eller den foreliggende forskriften presiserer i noen grad hvilken type opplysninger som kommunen forventes å registrere, eller fra hvilke kilder disse skal komme. Datatilsynet mener at dette er beklagelig da noe av hovedhensikten med både loven og forskriften skal være å veilede kommunene i hvordan de i praksis skal oppfylle sin plikt til å skaffe nødvendig oversikt over helsetilstanden i sin kommune. Å klargjøre hvilke kilder man skal basere en slik oversikt på vil etter Datatilsynets mening være en sentral del av en slik veiledning. Fra et personvernrettslig ståsted er det dessuten av avgjørende betydning at kommunene får korrekt og presis veiledning i forhold til hvorvidt opplysningene de registrerer i forbindelse med dette arbeidet skal være personidentifiserbare eller ikke. Datatilsynet har erfaring med at enkelte kommuner anser det hensiktsmessig å kombinere generelle kartlegginger av helse og trivsel med registrering av opplysninger som skal brukes for oppfølging av enkeltpersoner 3. Resultatet av dette blir en uholdbar praksis både i forhold til personvernregelverket og regelverk som regulerer f.eks journalskriving. Datatilsynet mener derfor at det vil være hensiktsmessig at det i forskriftens 3 presiseres at det kun skal registreres statistiske/anonyme data i kommunens oversikt. Datatilsynet ser at denne presiseringen er gjort i forhold til det dokumentet som kommunen skal utarbeide hvert fjerde år, men tilsynet mener at denne presiseringen bør gjelde for hele bestemmelsen. 2.3 Kunnskap om faktorer og utviklingstrekk Datatilsynet legger til grunn at dette er data som består av statistikk. 3 Lillehammer kommune 08/01844 3
3. Fylkeskommunens arbeid med oversikt over helseforhold Fylkeskommunen skal ha ansvar for å føre nødvendig oversikt over helsetilstanden på fylkesnivå, jf folkehelseloven 20 og 21, jf. forslag til forskrift 4. Av høringen til folkehelseloven fremgikk det at fylkeskommunens oversikt skal baseres på helsestatistikk 4. Datatilsynet legger følgelig til grunn at det ikke skal registreres opplysninger på personidentifiserbart nivå med hjemmel i forskriftens 4. Folkehelseloven 21 fjerde ledd fastslår at fylkeskommunen gjennom forskrift kan ilegges plikt til å gjennomføre befolkningsundersøkelser. Departementet har valgt å ikke pålegge en slik plikt i foreliggende forskrift, men bemerker i høringsnotatet at det vil bli gitt signaler om at dette er en form for undersøkelser som det oppfordres til å gjennomføre. Datatilsynet mener at det bør presiseres at dersom en slik befolkningsundersøkelse innebærer behandling av personopplysninger må den gjennomføres i samsvar med personvernlovgivningen, og som hovedregel være forhåndsgodkjent etter personopplysningsloven, helseregisterloven eller helseforskningsloven. 4. Nasjonalt folkehelseinstitutts arbeid med oversikt Nasjonalt folkehelseinstitutt (FHI) har som oppgave å gjøre tilgjengelig nøkkeldata som grunnlag for kommunenes og fylkeskommunenes oversikter etter folkehelseloven 5 og 21. Av folkehelseloven 25 går det frem av disse nøkkeldataene skal være basert på statistiske data. Datatilsynet legger derfor til grunn at disse nøkkeldataene ikke inneholder personidentifiserbare opplysninger, og tiltaket har følgelig ingen personvernmessige konsekvenser. Datatilsynet har imidlertid indikasjoner på at FHI er av den oppfatning at folkehelseloven gir føringer i retning av at identifiserbare opplysninger kan oppbevares utover et forskningsprosjekts formål. Datatilsynet mener derfor det er viktig at foreliggende forskrift er tydelig på at opplysningene som skal behandles i medhold av forskriften i all hovedsak er statistikk og anonyme opplysninger. 4 Forlag til folkehelseloven, høringsnotatet punkt 12.2.1 4
Oppsummering Datatilsynet legger til grunn at det sjelden vil være behov for å behandle personidentifiserbare opplysninger i forbindelse med de oppgaver som kommune og fylkeskommune skal gjennomføre etter folkehelseloven og foreliggende forslag til forskrift. Forslaget til forskrift innebærer således få personvernmessige konsekvenser. Datatilsynet mener imidlertid at det bør komme tydeligere frem av forskriften at det forutsettes hovedsakelig bruk av statistikk og anonyme data. Ved å tydeliggjøre dette kan man unngå usikkerhet omkring hvilke kilder som kan brukes når kommuner og fylkeskommuner skal gå i gang med datainnhenting. I den grad forskriften legger opp til at kommuner, fylkeskommuner og FHI skal behandle personopplysninger bør det presiseres at verken folkehelseloven eller foreliggende forskrift er tilstrekkelig hjemmel for dette, men at slik behandling må gjennomføres i tråd med personvernlovgivningen. Med vennlig hilsen Bjørn Erik Thon Direktør Eirin Oda Lauvset rådgiver Kopi: Fornyings-, administrasjons- og kirkedepartementet, v/statsforvaltningsavdelingen, Pb 8004 Dep, 0030 Oslo 5